Sensibiliser vos collaborateurs est une première barrière de sécurité

• Cybersécurité

L’utilisateur est au coeur des enjeux de la Cybersécurité ! 

En cybersécurité, on le sait, le risque zéro n’existe pas. Il s’agit donc tout d’abord d’évaluer les risques auxquels une entreprise et plus précisément son SI peuvent être confrontés.

Pour les réduire, il faut disposer des solutions de sécurité les plus performantes adaptées aux problématiques métiers de l’entreprise et de son environnement. Cependant cela peut être insuffisant car l’humain représente la plus grande faille en matière de cybersécurité.

A titre d’exemple, une tentative de type phishing ne pourra pas toujours être bloquée par une solution logicielle. En effet, les attaques sont devenues de plus en plus complexes et font souvent appel à de l’ingénierie sociale. Ainsi, l’attaquant va chercher des informations sur les réseaux sociaux ou sur d’autres supports et établir une stratégie de plus en plus ciblée et spécifique.

Il est donc indispensable de sensibiliser ses collaborateurs à la cybersécurité. Cela est d’autant plus vrai que, ces derniers temps, le télétravail, le nomadisme et les peurs liées à la crise actuelle ont permis aux attaquants d’exploiter de nouvelles opportunités.

Qu’en est-il en France ?

Dans son septième rapport annuel State of the Phish, les organisations françaises ont du mal à mettre en œuvre des programmes de formation en cybersécurité, réellement adaptés aux menaces spécifiques auxquelles elles sont confrontées. Seuls 38 % des professionnels de la cybersécurité français font en effet l’effort d’adapter leurs programmes de sensibilisation, contre 53 % en moyenne dans le monde.

Seulement 39 % des entreprises forment les télétravailleurs à la cybersécurité !

Même si une grande majorité des organisations vont soutenir le modèle du télétravail, on constate que seulement 39 % forment leurs employés aux pratiques de sécurité dans de telles conditions. Ce sont pourtant ces mêmes utilisateurs qui peuvent avoir des comportements à risque. En effet, il arrive qu’il permette aux membres de leur famille d’utiliser leur ordinateur professionnel pour faire des achats en ligne par exemple. Ceci peut constituer un risque important et pousse ainsi à ce que l’organisation prévoit des campagnes de sensibilisation à la sécurité adaptées au contexte du télétravail.

D’après un  rapport 2019 sur la gestion des cyber-risques, 81% des cyberattaques sont dues à une erreur humaine. Un risque multiplié par les tentatives des pirates qui utilisent notamment la menace du coronavirus pour cacher des fichiers malveillants dans des documents censés renseigner sur la maladie.

Que faut-il attendre d’une bonne formation ?

De nombreuses entreprises ne sont pas en capacité de réaliser elles-mêmes cette formation. Il existe donc 2 solutions : faire appel à une société de formation ou utiliser une solution logicielle qui met à disposition divers modules de E-learning thématisés.

Si on fait le choix d’une solution e-learning, il faut que celle-ci dispose de modules variés pour ainsi aborder un maximum de sujets.

A titre d’exemple on peut penser à des modules comme : comment concevoir un mot de passe fort, gérer ses mots de passe, comprendre l’authentification forte, savoir reconnaitre un Phishing etc.

Une bonne solution de formation doit également offrir la possibilité de personnaliser les modules, de donner des exemples concrets, proches de la réalité des utilisateurs, et de permettre un suivi personnalisé par département. Bien évidemment, les connaissances à acquérir seront variables selon la sensibilité des données gérées par le collaborateur.

Il est également important de pouvoir réaliser des campagnes de phishing en interne pour évaluer les risques et surtout le niveau des collaborateurs dans ce domaine.

Au final, l’accompagnement mis en œuvre devra permettre de donner aux collaborateurs des consignes claires sur ce qu’ils doivent ou ne doivent pas faire et les sensibiliser en particulier aux risques de sécurité liés au télétravail. Cela doit se faire avec pédagogie (avec des modules le plus interactif possible) afin d’avoir un maximum d’adhésion pour que la démarche soit efficace.  On ne le répètera jamais assez mais les utilisateurs sont souvent le premier rempart pour éviter, voire détecter les cyberattaques.